Backdoor.Win32.TRAMSCAT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\schtasks.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

• schtask.exe

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Connect and disconnect to a named pipe
• Upload/download files
• Execute files
• Manage files (List, Create, Delete, Modify, Move, Copy)
• Manage processes (Create, Terminate)
• Gather credentials using CredEnumerate or PStoreCreateInstance

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• https://smartcat.{BLOCKED}s.org/showthread.php?t={Random}

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Host name
• IPv4 address of the machine
• Internet Explorer Version
• Current user's Internet Explorer proxy configuration

マルウェアは、以下のパラメータを受け取ります。

• "smartcat.{BLOCKED}s.org:443 {BLOCKED}.{BLOCKED}.44.2:8080"

その他

マルウェアは、以下を実行します。

• It must be executed with a specific parameter in order to continue to it's malicious routine.
• It adds and injects code to a newly created process.
• It sends the following information to its C&C server:
  • IPv4 Address of the machine
  • Machine's HostName

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 名前付きパイプへの接続および切断
• ファイルのアップロード/ダウンロード
• ファイルの実行
• ファイルの管理 （一覧表示、作成、削除、変更、移動、コピー）
• プロセスの管理（作成、強制終了）
• 「CredEnumerate」または「PStoreCreateInstance」を使って認証情報の収集

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• ホスト名
• 感染コンピュータのIPv4アドレス
• Internet Explorerのバージョン
• 現在のユーザのInternet Explorerのプロキシ設定

その他

マルウェアは、以下を実行します。

• マルウェアが自身の不正活動を続行するためには、特定のパラメータを指定して実行する必要があります。
• 新たに作成されたプロセスにコードの追加および注入
• 以下の情報を C&C サーバに送信します。
  • 感染コンピュータのIPv4アドレス
  • コンピュータのホスト名